攻撃者が生成の乱数性が弱いウォレットリカバリーシードを悪用し、約140万ドル相当の暗号資産を窃取したことを受け、Qubicはブロックチェーンの運用を停止しました。このセキュリティ侵害は1,404のウォレットに影響を及ぼし、約2.94兆のQubic（QU）トークンが盗まれました。

リカバリーシードは、暗号資産ウォレットが鍵を導出するマスター認証情報として機能します。そのため、生成時の乱数性が弱いと、攻撃者にとってこれらの認証情報が予測可能なものになり得ます。

ネットワークは、盗まれた資産の追加移動を防ぐため、2026年10月18日に取引を停止しました。Qubicによると、盗まれた資金の87.1%は同社のブロックチェーン上で凍結されたままとなっており、残りの12.9%は暗号資産取引所MEXCが確保しています。

ウォレットシードの脆弱性が根本原因と判明

Qubicは、ウォレットシード生成プロセスにおける乱数性の不足をインシデントの原因として特定しました。この欠陥により、攻撃者は特定のウォレット認証情報を予測し、ユーザーの資金へ不正にアクセスすることが可能でした。

プロジェクトの調査によると、問題は特定のAppleデバイスやアプリケーションを通じて作成されたウォレットに限られていました。2026年10月18日より前にiPhoneおよびiPadのブラウザーで生成されたウォレット、MacのSafariユーザーが作成したウォレットが影響を受けました。旧バージョンのQubic iOSアプリにも同样の脆弱性が存在していました。響範囲はプラットフォームと作成日によって定まるため、ユーザーは自身のウォレットがどこで・いつ生成されたかに基づいてリスクを判断できます。

チームは、弱点がブロックチェーンの基盤プロトコルではなくウォレットシード生成に起因することを強調しました。開発チームはウォレットソフトウェアバージョン4.26.4でこの問題に対処し、安全でない乱数生成方式を暗号学的に安全な代替手段に置き換えました。修正済みソフトウェアは新しく作成されるウォレットを保護しますが、現在検討中の復旧措置は修正前に生成されたウォレットに適用されます。

MEXCが残りの盗まれた資金を凍結

攻撃後、Qubicはtick 85,37,949でネットワークの緊急シャットダウンを実施しました。これは台帳が停止した正確な地点を示すチェックポイントです。この停止によりすべての以降の取引が中止され、攻撃者が盗んだ資産を移転する能力が制限されました。これは攻撃者だけでなく、すべてのユーザー活動を一時停止する封じ込め措置です。

約2.56兆のQUトークンがQubicネットワーク内で凍結されたままです。その間に、攻撃者は取引所が受取アカウントを凍結する前に、約3,790億QUトークンをMEXCへ移動しました。この制限はプラットフォームが報道によれば約1時間以内に実施したものです。この移転分が現在中国MEXCの管理下にある12.9%に相当し、残りの2.56兆QUはQubicのチェーンから出ていません。

この協調対応により報告された盗難資金は封じ込められましたが、最終的な回収は不透明なままです。

バリデーター投票が復旧計画を決定

Qubicのネットワークバリデーターである「Computors」が、ガバナンス投票を通じて次の措置を決定します。開発チームは影響を受けたウォレットを精査し、検討対象となる復旧措置を準備しています。

Qubicは、通常のブロックチェーン運営を再開する確定したスケジュールをまだ発表していません。プロジェクトは復旧戦略の確定後、包括的な技術レポートを公開する予定です。今後注目すべきシグナルは、Computor投票の結果、チェーン再開時期に関する発表、そして予定されている技術レポートです。

本インシデントは、予測可能な暗号資産ウォレットシードに伴うセキュリティリスクを浮き彫りにしました。ブロックチェーンインフラが無事であっても、ウォレットソフトウェアの弱点はユーザーを多大な経済的損失にさらす可能性があります。